1. Dialog Camp Beschäftigtendatenschutz

Transkript

1 1. Dialog Camp Beschäftigtendatenschutz Aktueller Stand und wo geht die Reise hin? Tim Wybitul, München, 13. Juni 2012

2 Der (noch) geltende Beschäftigtendatenschutz ZWECKE DES BESCHÄFTI- GUNGSVERHÄLTNISSES, 32 ABS. 1 SATZ 1 BDSG

3 Umgang mit Beschäftigtendaten 32 Abs. 1 S. 1 BDSG: Personenbezogene Daten eines Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden, wenn dies für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses oder nach Begründung des Beschäftigungsverhältnisses für dessen Durchführung oder Beendigung erforderlich ist 3

4 Umgang mit Beschäftigtendaten Voraussetzungen von 32 Abs. 1 S. 1 BDSG: Datenumgang für Zwecke des Beschäftigungsverhältnisses Für Durchführung oder Beendigung oder für Entscheidung über Begründung eines Beschäftigungsverhältnisses Erforderlich Wichtig für die Personalarbeit: Durchführung umfasst auch Kontrollen im Beschäftigungsverhältnis Problem: Was genau ist im Beschäftigungsverhältnis erforderlich? 4

5 Umgang mit Beschäftigtendaten, Erforderlichkeit Unbestimmter Rechtsbegriff, dessen Ausgestaltung der Gesetzgeber der Rechtsprechung überlässt Die Verwendung der Daten ist erforderlich, wenn die berechtigten Interessen des Arbeitgebers auf andere Weise nicht angemessen gewahrt werden können Wenn nach den Gesamtumständen die Wahl einer anderen Informationsmöglichkeit oder der Verzicht hierauf nicht sinnvoll oder unzumutbar wäre Praxistipp: Erforderlich ist, was BVerfG und BAG bislang als zulässig erachtet haben (Gesetzesbegründung) 5

6 Der (noch) geltende Beschäftigtendatenschutz AUFDECKUNG VON STRAFTATEN 6

7 Datenumgang im Beschäftigungsverhältnis zur Aufdeckung von Straftaten 32 Abs. 1 S. 2 BDSG ist Reaktion auf "Datenschutzskandale bei einer Reihe von Großunternehmen" (Gesetzesbegründung) BAG-Rechtsprechung zur verdeckten Überwachung von Beschäftigten sollte festgeschrieben werden Regelung wird als misslungen und unscharf kritisiert Probleme: Gesetz regelt keine Abstimmung mit Compliance-Maßnahmen oder internen Ermittlungen 7

8 Datenumgang im Beschäftigungsverhältnis zur Aufdeckung von Straftaten 32 Abs. 1 S. 2 BDSG: Zur Aufdeckung von Straftaten dürfen personenbezogene Daten eines Beschäftigten nur dann erhoben, verarbeitet oder genutzt werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse des Beschäftigten an dem Ausschluss der Erhebung, Verarbeitung oder Nutzung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind 8

9 Datenumgang im Beschäftigungsverhältnis zur Aufdeckung von Straftaten Voraussetzungen von 32 Abs. 1 S. 2 BDSG: Tatsächliche Anhaltspunkte nötig; nicht abstrakte Verdachtsmomente Arbeitgeber muss Verdachtsmomente dokumentieren Verdacht auf Straftat im Zusammenhang mit dem Beschäftigungsverhältnis Datenumgang zur Aufdeckung der Straftat erforderlich Interessenabwägung: Ermittlungsmaßnahme muss verhältnismäßig zum bestehenden Verdacht sein Praxistipp: Erforderlich ist auch hier, was BVerfG und BAG erlaubt haben (z.b. BAG-Urteil zur Videoüberwachung) 9

10 Der neue Beschäftigtendatenschutz GESETZENTWURF ZUM BESCHÄFTIGTEN-DS 10

11 Zeitlicher Ablauf des Gesetzgebungsverfahrens : Bundesregierung legt einen Regierungsentwurf zur Neuregelung des Beschäftigtendatenschutzes vor; die Regelungen sollen ein halbes Jahr nach Verkündung in Kraft treten : Bundesrat begrüßt prinzipiell die detaillierte Regelung des Beschäftigtendatenschutzes und kritisiert einzelne Regelungen : Gegenäußerung der Bundesregierung zur Stellungnahme des Bundesrates (BT-Drs.17/4230) : Erste Lesung im Bundestag, kontroverse Diskussion, Überweisung an die zuständigen Ausschüsse : Expertenanhörung im Innenausschuss des BT : Referentenentwurf (siehe Anhang) Regierungsfraktion strebt Abschluss des Verfahrens 2012 an 11

12 Struktur des Entwurfs: Überblick 14 neue Paragraphen ( 32 bis 32m BDSG-E) sollen den neuen Beschäftigtendatenschutz detailliert regeln Unterschiedliche Regeln für Bewerber und Beschäftigte Unterschiedliche Regeln bei Erheben sowie Verarbeiten bzw. Nutzen von Beschäftigtendaten 18 neue Informationspflichten für Arbeitgeber Umgang mit Beschäftigtendaten auf der Grundlage von Einwilligungen eingeschränkt Einzelne Regelungen für Datenabgleiche und heimliche Datenerhebung (z.b. bei Hinweisgebersystemen oder internen Ermittlungen) 12

13 Struktur des Entwurfs: Überblick Umgang mit Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses Vor Begründung des Beschäftigungsverhältnisses Nach Begründung des Beschäftigungsverhältnisses Datenerhebung Datenverarbeitung oder -nutzung Datenerhebung Datenverarbeitung oder -nutzung Sonderfälle, z.b. heimliche Datenerhebung, Videoüberwachung, TK 13

14 Der neue Beschäftigtendatenschutz EINZELNE LECKERBISSEN DES ENTWURFS 14

15 32l BDSG-E Betriebsvereinbarungen und Einwilligungen bleiben eigenständige Erlaubnistatbestände im Sinne von 4 Abs. 1 BDSG Negativkatalog von einzelnen Regelungen darf nicht durch Einwilligung oder Betriebsvereinbarung abgewichen werden, z.b.: Heimliche Datenerhebung, 32e BDSG-E Datenabgleiche, 32d Abs. 3 BDSG-E Einwilligung nach 32l Abs. 1 BDSG-E Wird erst aufschiebend bedingt wirksam Arbeitgeber muss auf Recht zum Widerruf hinweisen Probezeiteinwilligung wird mit Ablauf der Probezeit unwirksam 15

16 32m BDSG-E 32m BDSG-E bringt ein Konzernprivileg für Beschäftigtendaten Gola/Thüsing-Variante hat sich durchgesetzt Praxisproblem: Wie trenne ich im Konzern die Beschäftigtendaten von den personenbezogenen Daten Dritter Übermittlung erlaubt soweit dies für die Verwirklichung von Konzerninteressen erforderlich ist Frage: Was sind Konzerninteressen? Mögliche Anwendungsfälle in der Praxis: Konzernweite Personaldatenverwaltung Konzernweite Whistleblowing-Hotline (vgl. SOA) 16

17 32e BDSG-E: Überblick Grundsätzlich darf der Arbeitgeber Beschäftigtendaten nur mit Kenntnis des Beschäftigten erheben, 32e Abs. 1 BDSG-E Von diesem Grundsatz der Direkterhebung bei Beschäftigtendaten dürfen Arbeitgeber nur unter engen Voraussetzungen abweichen 32e Abs. 2 BDSG-E regelt Ausnahmen, bei deren Vorliegen Arbeitgeber Beschäftigtendaten ohne Mitwirkung und Kenntnis des Beschäftigten erheben dürfen Zweck der heimlichen Datenerhebung: Nur zur Aufdeckung und Vermeidung von Straftaten und anderen schweren Pflichtverletzungen zulässig Strenge Zweckbindung der heimlich erhobenen Beschäftigtendaten, hohe Anforderungen an Verhältnismäßigkeit, Informations- und Löschungspflichten 17

18 32e BDSG-E: Struktur 32e BDSG, Datenerhebung ohne Kenntnis des Beschäftigten Zweck: Zur Aufdeckung oder Verhinderung schwerwiegender Pflichtverletzungen, die der Beschäftigte im Beschäftigungsverhältnis begangen hat Grundregel: Heimliche Erhebung muss zur Aufdeckung der schwerwiegenden Pflichtverletzung oder zur Verhinderung von damit im Zusammenhang stehenden weiteren Pflichtverletzungen erforderlich sein Weitere Anforderungen: Vermutete Pflichtverletzung müsste Kündigung aus wichtigem Grund nahelegen; Verhältnismäßigkeit; Zweckbindung; Dokumentation; Unterrichtung; Löschungspflichten; keine Daten, die den Kernbereich persönlicher Lebensgestaltung betreffen

19 32e BDSG-E: Absatz 2 Vorliegen von Tatsachen, die den Verdacht begründen, dass der Beschäftigte eine schwerwiegende Pflichtverletzung begangen hat Bloße Vermutung reicht nicht aus Konkrete Indizien notwendig, die sich auf einen Beschäftigten oder eine Gruppe von Beschäftigten beziehen Frage: Wann ist das Erheben heimlich (Beispiel Whistleblowing ) Bezug der fraglichen Pflichtverletzung zum Beschäftigungsverhältnis erforderlich, z.b. Auswirkungen auf das Beschäftigungsverhältnis, etwa bei Bekanntwerden Nutzung von Betriebsmitteln oder von betrieblichen Strukturen 19

20 32e BDSG-E: Absatz 2 "Schwerwiegend" ist eine Pflichtverletzung, wenn ein verständiger Arbeitgeber eine Kündigung aus wichtigem Grund in Betracht ziehen würde Anforderungen an Verdachtskündigung kann nicht maßgeblich sein Verständiger Arbeitnehmer : Bezug zu BAG-Rechtsprechung BAG prüft zweistufig: Vorliegen von abstrakten Kündigungsgrund und konkrete Interessenabwägung Für eine konkrete Interessenabwägung liegen dem Arbeitgeber noch keine konkreten Anhaltspunkte vor Richtigerweise wird der Verdacht eines abstrakten Kündigungsgrundes für eine heimliche Datenerhebung ausreichen ( in Betracht ziehen ) 20

21 Der neue Beschäftigtendatenschutz FAZIT UND HANDLUNGSEMPFEHLUNGEN 21

22 Fazit und Handlungsempfehlungen Entwurf betrifft eine Vielzahl von Unternehmensbereichen Entwurf bringt einige Klarheit und vor allem viele Prozessvorschriften Gesetz tritt wohl nicht schon Anfang 2013 in Kraft Gerichte und Aufsichtsbehörden werden Klarheit schaffen Kurze Umsetzungsfrist vor allem für interne Prozesse, PersonalDV und bestehende Betriebsvereinbarungen Folge: Bereits jetzt Bestandsaufnahme und Vorbereitungen zweckmäßig 22

23 Gesetzesentwurf zum Beschäftigtendatenschutz Weitere Informationen: Vollständige Kommentierung des Gesetzentwurfs abrufbar unter: probe/1418_leseprobewybitul.pdf (115- seitige Kommentierung) Oder einfach eine kurze an 23

24 Tim Wybitul, of Counsel Frankfurt Tim Wybitul gehört der Sozietät seit 2011 an und ist als of Counsel in den Bereichen Datenschutz, Arbeitsrecht und Compliance tätig. Ein Schwerpunkt seines Beratungsspektrums liegt im Bereich des Beschäftigtendatenschutzes. Für eine Anhörung im Deutschen Bundestag zum Thema "Whistleblowing"/Hinweisgebersysteme hat ihn der Ausschuss für Arbeit und Soziales kürzlich zum Einzelsachverständigen bestellt. Tim Wybitul berät unter anderem bei grenzüberschreitenden Sachverhalten und Gerichtsverfahren, insbesondere bei Discovery-Verfahren und bei Ermittlungen ausländischer Behörden gegen Unternehmen. Vom März 2008 bis September 2010 leitete er vor Ort in Zürich ein Team von insgesamt über 60 Anwälten, die die UBS AG im Rahmen der Ermittlungen der US-Behörden SEC, DoJ und IRS unterstützten. Zudem berät er im Hinblick auf die Implementierung, Überprüfung und den datenschutzkonformen Betrieb von Compliance-Systemen in Unternehmen sowie bei allgemeinen datenschutzrechtlichen und arbeitsrechtlichen Fragen. Tim Wybitul ist Lehrbeauftragter für Datenschutz bei der Deutschen Universität für Weiterbildung, Berlin. Er ist Fachanwalt für Arbeitsrecht und Autor zahlreicher Veröffentlichungen zum Datenschutz. Kürzlich erschien sein Praxishandbuch Datenschutz im Unternehmen in der Schriftenreihe des Betriebs-Beraters. Voraussichtlich 2012 erscheint sein Praxiskommentar Beschäftigtendatenschutz. Tim Wybitul ist Mitherausgeber der im C.H. Beck Verlag erscheinenden Zeitschrift für Datenschutz. Referenzmandate: UBS AG Leitung eines Teams von Anwälten im Rahmen grenzüberschreitender Ermittlungen von U.S.-Behörden Global tätiges Finanzinstitut Leitung eines Teams von Anwälten im Rahmen von Ermittlungen der BaFin; umfassende Beratung zu rechtlichen Fragen von -Auswertungen und zu Fragen des allgemeinen Datenschutzes Internationaler Handelskonzern Beratung zu Compliance, Arbeitsrecht und Datenschutz Allianz AG umfassende Beratung bei Ermittlungen und zu Compliance und Datenschutz Internationales Logistikunternehmen Beratung bei dem datenschutzkonformen Betrieb unternehmensinterner Hinweisgebersysteme (sog. Whistleblowing-Systeme) Birkenstock Gruppe umfassende Beratung bei Arbeitsrecht, Compliance, und Datenschutz Beratung diverser Versicherungsunternehmen zu Datenschutz-Fragen Tim Wybitul of Counsel Frankfurt T tim.wybitul@hoganlovells.com Nennung von Tim Wybitul in der Wirtschaftswoche als hervorragend bewerteter Compliance-Anwalt Hogan Lovells als Top-Kanzlei für Compliance empfohlen "Wybitul machte unter anderem durch seine Mandatsführung bei einer sehr groß angelegten internen Untersuchung für die UBS auf sich aufmerksam. Abseits davon beriet er zuletzt auch andere große Konzerne, so etwa die Allianz in datenschutzrechtlichen Fragen." JUVE 2012 " renommierter Frankfurter Experte für Datenschutz und Compliance-Recht" Dr. Jyn Schultze-Melling, Leiter Beschäftigtendatenschutz Deutsche Bahn, in CR-aktuell 1/2012 Hogan Lovells 24

25 Hogan Lovells has offices in: Abu Dhabi Alicante Amsterdam Baltimore Beijing Berlin Brussels Budapest* Caracas Colorado Springs Denver Dubai Dusseldorf Frankfurt Hamburg Hanoi Ho Chi Minh City Hong Kong Houston Jeddah* London Los Angeles Madrid Miami Milan Moscow Munich New York Northern Virginia Paris Philadelphia Prague Riyadh* Rome San Francisco Shanghai Silicon Valley Singapore Tokyo Ulaanbaatar Warsaw Washington DC Zagreb* "Hogan Lovells" or the "firm" is an international legal practice that includes Hogan Lovells International LLP, Hogan Lovells US LLP and their affiliated businesses. The word "partner" is used to describe a partner or member of Hogan Lovells International LLP, Hogan Lovells US LLP or any of their affiliated entities or any employee or consultant with equivalent standing. Certain individuals, who are designated as partners, but who are not members of Hogan Lovells International LLP, do not hold qualifications equivalent to members. For more information about Hogan Lovells, the partners and their qualifications, see. Where case studies are included, results achieved do not guarantee similar outcomes for other clients. Attorney Advertising. Hogan Lovells All rights reserved. *Associated offices